Extensiones del navegador: el espía que instalaste tú mismo sin darte cuenta
Photo: Pikolas, CC BY-SA 4.0, via Wikimedia Commons
Hay algo que casi nadie hace cuando instala una extensión de Chrome: leer los permisos. Y es completamente comprensible. Aparece una ventana con un texto técnico, haces clic en «Añadir extensión» y listo. Problema resuelto, función activada. Lo que no ves es lo que ocurre después, en segundo plano, mientras navegas tranquilamente por tu banco, tu correo o tus redes sociales.
Desde Web Antena hemos estado siguiendo de cerca esta tendencia que afecta especialmente a usuarios españoles, donde la adopción de extensiones de productividad, descuentos y VPN gratuitas ha crecido de forma notable en los últimos años. Y los datos no son tranquilizadores.
Qué permisos piden realmente las extensiones más populares
Cuando una extensión solicita acceso a «todos los sitios web que visitas», no es una formalidad técnica. Es literalmente lo que parece: puede leer el contenido de cada página que abres, incluidos formularios con datos personales, sesiones activas y hasta tokens de autenticación.
Algunas de las categorías de extensiones más descargadas en España presentan patrones de permisos que deberían encender todas las alarmas:
- Extensiones de cupones y cashback: herramientas como Honey o similares necesitan ver qué páginas visitas para detectar tiendas. Pero muchas van más allá y construyen perfiles de comportamiento de compra que luego se venden a terceros.
- VPN gratuitas en formato extensión: las VPN de navegador gratuitas son quizás el caso más documentado. Varias investigaciones han demostrado que algunas de las más populares redirigen el tráfico a servidores propios y registran el historial de navegación completo.
- Gestores de pestañas y productividad: extensiones aparentemente inocentes para organizar tus tabs o recordarte tareas pueden solicitar acceso de lectura y escritura a todas las páginas. Un exceso de permisos para lo que ofrecen.
- Bloqueadores de anuncios no verificados: no todos los adblockers son iguales. Algunos clones de herramientas populares como uBlock Origin han sido detectados recopilando datos de sesión.
El caso más común que nadie menciona: las extensiones abandonadas
Existe un problema que pasa completamente desapercibido: las extensiones que ya no tienen mantenimiento activo. Un desarrollador crea una extensión útil, la gente la instala, y años después ese desarrollador vende el proyecto a una empresa desconocida. La extensión sigue funcionando igual en tu navegador, pero ahora pertenece a alguien que tiene motivaciones completamente distintas.
Esto ha ocurrido con decenas de extensiones documentadas. El usuario no recibe ningún aviso. La extensión simplemente se actualiza sola (porque tiene permisos para ello) y empieza a comportarse de forma diferente.
En España, donde muchos usuarios llevan años con las mismas extensiones instaladas sin revisarlas, este vector de ataque es especialmente relevante.
Cómo auditar lo que tienes instalado ahora mismo
Antes de desinstalar nada, conviene saber qué tienes. Aquí tienes un proceso sencillo:
- Abre Chrome y escribe
chrome://extensions/en la barra de direcciones. - Activa el «Modo desarrollador» en la esquina superior derecha.
- Revisa cada extensión y haz clic en «Detalles» para ver exactamente qué permisos tiene.
- Busca en Google el nombre de la extensión junto a palabras como «privacy», «data collection» o «spyware» para ver si hay informes negativos.
- Comprueba cuándo fue la última actualización. Una extensión sin actualizaciones en más de dos años es una señal de alerta.
También puedes usar herramientas como CRXcavator o Extension Monitor para obtener análisis automáticos de riesgo de tus extensiones instaladas.
Alternativas seguras para las tareas más habituales
No se trata de quedarse sin herramientas, sino de elegir mejor. Estas son las alternativas que recomendamos desde Web Antena para las funciones más comunes:
En lugar de extensiones de VPN gratuitas: usa un servicio de VPN de pago con política de no registros verificada (Mullvad, ProtonVPN). Si solo necesitas privacidad básica, el modo de navegación privada con DNS cifrado puede ser suficiente.
En lugar de gestores de contraseñas como extensiones de terceros desconocidos: Bitwarden tiene código abierto, está auditado de forma independiente y su extensión es una de las más transparentes del mercado.
En lugar de bloqueadores de anuncios dudosos: uBlock Origin (el original, no clones) sigue siendo el estándar de oro. Es de código abierto y tiene una comunidad activa que detecta cualquier comportamiento sospechoso.
En lugar de extensiones de productividad con acceso total: muchas funciones que buscas en extensiones ya están integradas en el propio Chrome o en Firefox. Vale la pena explorar las opciones nativas antes de instalar nada externo.
La regla de oro para no volver a caer en esto
Una extensión que pide más permisos de los que necesita para su función principal es una extensión que no merece tu confianza. Si una herramienta para cambiar el color de fondo de una web necesita «leer y modificar todos los datos en todos los sitios web», algo no cuadra.
El principio del mínimo privilegio no es solo un concepto de ciberseguridad corporativa. Es una filosofía que cualquier usuario puede aplicar desde casa, en España, con su portátil del día a día.
En Web Antena seguiremos rastreando estas señales para que tú no tengas que hacerlo solo. Porque la antena siempre está puesta.
